В облачной платформе Microsoft Azure закрыли двенадцать уязвимостей. Часть из них открывает путь к выполнению произвольного кода, повышению уровня доступа и чтению защищённых данных. Затронуты тринадцать продуктов: Key Vault, API Center, Azure DevOps, Azure CLI, сервисы хранения, подключённые к облаку серверы Arc, а также Microsoft Bookings и Partner Center. Одна из уязвимостей получила 10.0 по шкале CVSS (общая система оценки уязвимостей). Это верхняя граница.
Двенадцать уязвимостей Azure и затронутые компоненты платформы
Ошибки относятся к нескольким классам. Первая группа связана с внедрением команд операционной системы. Злоумышленник подставляет свои команды вместо ожидаемых данных и добивается их выполнения на сервере. Вторая группа - подделка серверных запросов, или SSRF. Этот приём заставляет облачный сервис обращаться к внутренним ресурсам, недоступным из интернета. Кроме того, в перечне значатся некорректная проверка сертификатов, ошибка проверки источника запроса, слабая аутентификация и недостаточная проверка прав доступа.
Последствия зависят от того, какой сервис задет. В облаке приложения постоянно обращаются к секретам, ключам и хранилищам. Поэтому выполнение кода внутри сервиса даёт злоумышленнику больше, чем ошибка на отдельной машине. Обход проверки прав открывает доступ к чужим подпискам и данным. Подделка запросов позволяет дотянуться до внутренней инфраструктуры, которую наружу не выставляют.
Для компаний, которые перенесли в Azure разработку и хранение данных, риск складывается из нескольких факторов. Одна ошибка в общем компоненте затрагивает сразу множество клиентов. Атака через подделанный запрос не требует доступа к конкретной машине: достаточно выйти на сервис. Сведений об эксплуатации этих уязвимостей в реальных атаках бюллетень не содержит.
Список затронутых продуктов и сервисов
Перечень широкий, и это важно для оценки рисков. Он охватывает инструменты разработчика: Azure CLI, расширение командной строки для Azure DevOps, клиентские библиотеки Key Vault и Storage Blobs для Java. Отдельно указаны сервисы платформы: API Center, Event Grid, SRE Agent, Azure Container Storage. Замыкают список сборки Azure CycleCloud 8.9.1 и 8.9.2, а также Microsoft Bookings и Partner Center.
Точную привязку каждой ошибки к конкретному продукту бюллетень не раскрывает. Проверять приходится весь список. Даже второстепенный на вид сервис может входить в цепочку доступа к данным. Клиентские библиотеки особенно коварны: они попадают внутрь приложений заказчика и не обновляются вместе с облаком автоматически.
Четыре уязвимости закрыты без участия клиентов
Не все двенадцать проблем требуют действий заказчика. Четыре уязвимости Microsoft закрыла централизованно, на своей стороне. Это CVE-2026-83943 с рейтингом 8.7, CVE-2026-96207 с рейтингом 10.0, CVE-2026-69435 с рейтингом 9.6 и CVE-2026-83947 с рейтингом 7.7. В перечень их включили для сведения. Обновляться из-за них не нужно.
Самые высокие оценки по шкале CVSS достались именно тем уязвимостям, которые уже закрыты на стороне Microsoft. Клиентам остаётся разобраться с восемью другими. Такой расклад встречается всё чаще: вендор гасит самые тяжёлые проблемы сам, а на заказчиков перекладывает менее заметные.
Что делать администраторам
Установить обновления Microsoft для всех затронутых компонентов из перечня. Проверить, какие сервисы компания использует на самом деле. Для Azure CycleCloud в списке указаны сборки 8.9.1 и 8.9.2; уточните в бюллетене вендора, какая из них закрывает проблему, и перейдите на рекомендованную. Обходные меры, если они существуют, Microsoft приводит в бюллетене центра реагирования на угрозы (Microsoft Security Response Center).
Отдельная задача - развести ответственность. Часть компонентов из списка работают как управляемые сервисы, и обновления для них ставит сам вендор. Другая часть - библиотеки и утилиты командной строки, которые живут в коде и на машинах заказчика. Там обновление целиком на стороне компании. Пропущенная библиотека останется уязвимой даже после того, как облако закроет свои дыры.
Облачные платформы держат огромные объёмы данных и секретов, поэтому ошибки в общих компонентах бьют сразу по многим клиентам. В этом бюллетене Microsoft разделила зону ответственности открыто. Четыре уязвимости закрыты на стороне вендора, восемь остаются за заказчиками. От этого разделения и зависит, нужны ли вообще какие-то действия.
Ссылки
